# Security Policy

## 支持范围

| 版本 | 支持 |
|---|---|
| 0.1.x | ✅ |

## 这个插件会接触哪些敏感数据

| 数据 | 在哪里 | 风险 |
|---|---|---|
| 登录 Cookie（含 `u_ukey`、`u_dpass`） | `<插件目录>/profile/`（或 `DSH_THS_PROFILE_DIR`） | **等同于你的问财登录态**，泄露即账号被他人使用 |
| 账号/手机号 | 仅在你自己操作的登录窗口里 | 插件不读取、不记录 |
| 查询内容 | 内存 + DSH 会话 | 可能落进 DSH 会话历史（由 DSH 自身策略决定） |
| 诊断日志 | `~/.dsh/logs/dsh-ths-ai.log` | 只含事件与错误信息，**不含** Cookie 值 |

**请把 `profile/` 当成密码对待**：不要把它拷给别人、不要提交到仓库、不要放进云盘同步目录。

## 报告安全问题

请**不要**开公开 issue。使用 GitHub 的私有渠道：

1. 打开 <https://github.com/buyou-claw/dsh-ths-ai/security/advisories/new> 提交私密安全公告（推荐）；
2. 或在该 issue 里只写"需要私下沟通安全事项"，由维护者切换渠道。

请在报告里包含：影响版本、复现步骤、影响面（是否能读取 Cookie / 是否可被第三方触发 / 是否需要本机权限）、建议修复。

我们会在 7 天内回应，并在修复发布后于公告中致谢（除非你要求匿名）。

## 范围界定

**在范围内**：插件代码本身的安全缺陷（路径穿越、命令注入、任意文件读写、把 Cookie 写进日志/上送、webServer 路由缺少输入校验导致本机攻击面扩大等）。

**不在范围内**：同花顺/问财站点自身的安全问题；DSH 宿主的安全问题（请报给 DSH）；用户自己把 `profile/` 交给别人导致的泄露；用户违反站点协议带来的账号风险。

## 已知的、属于设计取舍的风险

- **本机 HTTP 路由没有鉴权**：`/ths-ai/query` 等路由只监听 `127.0.0.1` 的 DSH webServer。能访问你本机该端口的进程，就能借用你的登录态查询。这是「本地插件」模式的固有代价，**请在可信机器上使用**。
- **profile 明文落盘**：Playwright 持久化 profile 的 Cookies 由浏览器自身加密（Windows 下走 DPAPI），但目录本身可被同用户进程读取。
- **诊断日志可能包含页面标题/URL**：不含 Cookie，但可能含你的查询词。分享前请自行脱敏。